Ano ang GDPR? Gabay sa Simpleng Ingles para sa App Builders

Ang GDPR (General Data Protection Regulation) ang pangunahing batas ng European Union sa proteksyon ng data. Nagtatakda ito ng mga patakaran kung paano kinokolekta, ginagamit, iniimbak at ibinabahagi ng mga organisasyon ang personal data, ibig sabihin, anumang impormasyon tungkol sa isang tiyak na buhay na tao, at nagbibigay ito sa mga tao ng karapatan sa sarili nilang data, gaya ng makita ito o ipabura. Ipinatutupad ito mula Mayo 25, 2018, at maaari itong sumaklaw sa mga negosyong nasa labas ng EU kung naglilingkod sila sa mga tao rito.

Hindi ito legal advice. Pangkalahatang paliwanag ang gabay na ito para tulungan kang maintindihan ang mga batayan at makapagtanong nang mas mahusay. Hindi ito kapalit ng payo tungkol sa partikular mong sitwasyon. Para sa opisyal na detalye, tingnan ang mga pahina ng European Commission tungkol sa data protection at ang gabay ng European Data Protection Board para sa maliliit na negosyo.

Bakit ito mahalaga kapag gumagawa ka gamit ang AI

Nagpapadali ang AI builders sa pangongolekta ng data. Sa isang prompt lang, makakakuha ka na ng sign-up form, contact form, analytics, file uploads at admin dashboard na naglilista ng bawat user. Bawat isa sa mga iyon ay nangongolekta ng personal data, at pinapakialaman ng GDPR ang lahat ng iyon.

Mabuti na lang, karamihan ng hinihingi ng GDPR ay mabuting gawi rin sa produkto:

• Mangolekta lang ng kailangan mo talaga.
• Sabihin sa mga tao kung ano ang gagawin mo sa data nila.
• Panatilihing ligtas ito.
• Burahin kapag hindi mo na kailangan.
• Hayaang makita, itama o alisin ng mga tao ang kanilang data.

Mas madaling isama ang mga ito sa disenyo mula sa simula kaysa idagdag pagkatapos ng paglunsad. Ang pagtatanong sa AI builder mo ng tamang tanong nang maaga ay makakatipid sa iyo ng masakit na rebuild sa hinaharap.

Isang halimbawang pang-araw-araw

Isipin ang personal data bilang mga gamit na iniiwan ng mga tao sa iyo, parang coat check, pero para sa impormasyon. Ang GDPR ang house rules ng coat check:

• Kunin lang ang ipinayag ng tao na iwan, para sa dahilang nauunawaan niya.
• Huwag halukayin ang bulsa para sa ibang gamit.
• Panatilihing naka-lock ang kwarto.
• Ibalik ang mga gamit, o itapon, kapag hiniling o kapag hindi mo na kailangan.
• Kung may nanakaw, sabihin agad sa tamang tao.

Responsable ka sa mga coat habang nasa pangangalaga mo ang mga ito, kahit kumuha ka pa ng iba para patakbuhin ang kwarto.

Mga pangunahing ideya

Ano ang itinuturing na personal data

Ayon sa European Commission, ang personal data ay anumang impormasyong may kaugnayan sa isang tiyak o natutukoy na buhay na indibidwal. Malawak ito. Kasama rito ang pangalan, email address, home address, IP address, cookie ID at larawan. Ang data na “pseudonymised,” gaya ng pangalang pinalitan ng code, ay puwede pa ring maging personal data kung maiuugnay pa rin ito sa isang tao.

May mga kategoryang nakakakuha ng dagdag na proteksyon, kabilang ang health data, biometric data, lahi o pinagmulang etniko, at mga pampulitikang paniniwala.

Sino ang saklaw nito

Ayon sa Commission, sakop ng GDPR ang mga organisasyong nakatatag sa EU, at ang mga organisasyong nasa labas ng EU na nag-aalok ng produkto o serbisyo sa mga tao sa EU (bayad man o libre) o sumusubaybay sa kanilang kilos. Maaaring sakop ng GDPR ang startup sa US o UAE na may mga customer sa Europa. May sariling bersyon ang UK, ang UK GDPR, na malapit ang pagkakabatay sa orihinal.

Ang mga prinsipyo

Nakabatay ang GDPR sa maikling listahan ng mga prinsipyo. Sa simpleng salita:

Mga lehitimong batayan

Kailangan mo ng legal na dahilan, isang “lawful basis,” para sa bawat paraan ng paggamit mo ng personal data. Anim ang nakalista sa GDPR: consent, pagtupad sa kontrata, legal obligation, vital interests, public task, at legitimate interests. Isa lang sa mga iyon ang consent. Halimbawa, ang pagproseso ng order para maihatid ito ay kadalasang tungkol sa kontrata, hindi consent. Kung aling batayan ang angkop ay usapin ng paghuhusga na dapat suriin laban sa opisyal na gabay.

Mga karapatan ng tao

Ilinista ng Commission ang mga karapatang ito para sa mga indibidwal:

• Na maipaalam kung paano ginagamit ang kanilang data
• Na ma-access ang kanilang data
• Na maitama ang data
• Na mabura ang data
• Na malimitahan ang pagproseso
• Na makuha ang data sa magagamit na format (data portability)
• Na tumutol
• Mga karapatang may kinalaman sa automated decision-making at profiling

Mga paglabag sa data

Kung tumagas ang personal data at malamang na mailagay nito sa panganib ang mga karapatan at kalayaan ng mga tao, karaniwang kailangang ipaalam ng organisasyon sa data protection authority nito nang walang labis na pagkaantala at, kung posible, sa loob ng 72 oras mula nang malaman nila ito. Sa ilang kaso, kailangan ding sabihan ang mga apektadong tao.

Isang halimbawang gawa: booking app ng yoga studio

Isipin mong gumagawa ka ng booking app para sa isang yoga studio na may mga customer sa Germany. Ganito hinuhubog ng GDPR ang app.

Mangolekta ng mas kaunti. Ang sign-up form ay humihingi ng pangalan, email at opsyonal na phone number. Ang unang draft ay humingi rin ng date of birth at home address; walang gumagamit ng mga ito sa app, kaya tinanggal.

Kailangan ng ingat ang health data. Gustong magtanong ng studio tungkol sa mga pinsala. Ang health data ay special category na may mas mahigpit na patakaran. Nagpasya ang studio na hawakan ito nang personal, kaya hindi ito kinokolekta ng app.

Maging transparent. Ipinapaliwanag ng privacy policy kung ano ang kinokolekta, bakit, gaano katagal itinatago, sino pa ang nagpoproseso (ang hosting provider, ang email service, ang payment provider), at kung paano makipag-ugnayan sa studio.

Hiwalay ang marketing. Hindi naka-sign up ang sinumang nag-book ng klase sa newsletter. May hiwalay at hindi naka-check na kahon para roon.

Mga karapatan sa loob ng produkto. Makikita at mae-edit ng mga customer ang kanilang profile, made-download ang kasaysayan ng booking, at maaari silang humiling ng pagbura mula sa kanilang account page.

Retention. Ang mga hindi aktibong account ay mamarkahan pagkatapos ng isang takdang panahon at tatanggalin kung hindi tutugon ang customer. Pinipili ng studio ang panahong iyon.

Cookies. Kailangan ang login cookie. Naglo-load lang ang analytics pagkatapos tanggapin ng bisita. Tingnan ang ano ang cookies.

Seguridad. Naka-hash ang passwords, nangangailangan ng two-factor authentication ang admin area, at ang may-ari lang ang puwedeng mag-export ng listahan ng customers.

Mga karaniwang termino

Mga karaniwang pagkakamali at maling akala

• “Wala kami sa EU, kaya hindi ito naaangkop.” Puwede pa rin itong maging naaangkop batay sa kung nasaan ang mga user mo.
• “Ibig sabihin ng GDPR ay consent para sa lahat.” Isa lang sa anim na lawful basis ang consent, at madalas hindi ito ang tamang batayan.
• “Sapat na ang cookie banner para maging sumusunod.” Maliit na bahagi lang ang cookies. Mas mahalaga ang pangongolekta ng data, seguridad, karapatan at retention.
• “Sumusunod sa GDPR ang host namin, kaya sumusunod na rin kami.” Nakakatulong ang mga provider, pero ikaw ang nagpapasya kung ano ang kinokolekta at ginagawa ng app mo.
• Pangongolekta ng “baka kailanganin.” Bawat dagdag na field ay dagdag na dapat protektahan, ipaliwanag at burahin.
• Pagkopya ng privacy policy ng ibang site. Dapat nitong ilarawan ang aktuwal na ginagawa ng iyong app.
• Paggawang imposible ang pagbura. Kung walang makakapagbura ng user nang walang developer, nagiging emergency ang mga kahilingan sa karapatan.

Ano ang hihilingin sa AI builder mo

• “Ilista ang bawat personal data na kinokolekta ng app na ito, saan ito naka-imbak, at bakit ito kailangan.”
• “Alisin ang anumang form field na hindi natin ginagamit.”
• “Magdagdag ng account page kung saan maaaring makita, ma-edit at mai-download ng users ang kanilang data, at humiling ng pagbura.”
• “Gumawa ng admin action na lubusang nagbubura ng user at ng mga kaugnay niyang record, o nag-a-anonymize ng mga record na kailangan nating panatilihin.”
• “Panatilihing hiwalay at hindi naka-check na kahon ang marketing sign-up.”
• “Huwag mag-load ng analytics o marketing scripts bago ang consent.”
• “Ilista ang bawat third-party na serbisyong tumatanggap ng user data, para maidagdag ko sila sa privacy policy.”
• “Limitahan ang admin exports sa owner role at i-log kung sino ang nag-export ng ano.”

Pagkatapos, basahin ang paano sumulat ng terms of service at privacy policy at paano magdagdag ng cookie consent.

GDPR at Mythex

Nagbibigay ang Mythex ng mga bloke sa pagbuo, hindi ng sertipiko ng pagsunod. Kapag na-enable mo ang project database at file storage, nasa sarili nilang project database at file storage ang data ng app mo; ikaw ang may-ari ng code, at sa Pro ay maaari mong i-export ang project kung kailangan mong ilipat ito. Ang kinokolekta ng app mo, gaano katagal itinatago, at paano tinutupad ng mga tao ang kanilang mga karapatan ay mga desisyong ikaw ang gagawa at hihilingin mong itayo ng agent. Ipinapaliwanag ng docs page tungkol sa data ownership kung ano ang hino-host ng Mythex, at binabalaan ng security para sa app na ginawa mo laban sa pag-angkin ng pagsunod na wala ka. Kung kailangan mo ng partikular na detalye, gaya ng kung saan naka-host ang data o data processing agreement, itanong sa Mythex support bago ilunsad.

Mga tanong